Napadený web SZÚ ukazuje, že i „jen“ veřejná stránka může být firemním problémem

1. Co se stalo

Útočníci měli využít zranitelnost webu. Z veřejně dostupných informací ale není zřejmé, o jaký typ zranitelnosti šlo, kdy přesně k útoku došlo ani jak dlouho měli útočníci k webu přístup. Není také uvedeno, zda došlo ke ztrátě, úniku nebo změně dat. Stejně tak není potvrzeno, že by útok zasáhl další systémy Státního zdravotního ústavu nebo širší zdravotnickou infrastrukturu.

Důležitá je proto hranice mezi tím, co je potvrzené, a tím, co zatím zůstává nejasné. Potvrzeno je napadení oficiálního webu a jeho následná nedostupnost v původní podobě. Zpráva hackerské skupiny se na webu objevila, což znamená, že útočníci dokázali ovlivnit jeho obsah nebo jeho prezentaci návštěvníkům. Z toho ale samo o sobě nelze vyvodit, že pronikli do interních systémů nebo získali citlivá data.

Podle dostupných informací by útok neměl narušit zdravotní systém. Není však uvedeno, na základě jakého šetření k tomuto závěru úřad dospěl ani zda je vyšetřování již uzavřené. Pro firmy je právě tato opatrnost podstatná: výpadek veřejného webu může být jasně viditelný, zatímco rozsah incidentu se často zjišťuje až následně.

2. Proč to není jen kuriozita

Na první pohled může jít o relativně omezený incident. Nejde o zprávu, že by nefungovaly zdravotnické služby, byly vyřazeny nemocniční systémy nebo došlo k potvrzenému úniku dat. Napadený veřejný web může působit jako méně závažný problém než útok na klíčovou infrastrukturu.

To ale neznamená, že je bez významu. Web státní instituce je součástí jejího veřejného fungování a důvěryhodnosti. Návštěvníci ho používají jako zdroj oficiálních informací. Pokud je nedostupný nebo na něm útočníci zveřejní vlastní sdělení, instituce ztrácí kontrolu nad jedním ze svých komunikačních kanálů. I kdyby nedošlo k žádnému zásahu do zdravotnických systémů, veřejnost nemůže v danou chvíli běžným způsobem ověřit, zda jsou informace na webu úplné a aktuální.

Incident také ukazuje rozdíl mezi technickým rozsahem útoku a jeho reputačním dopadem. Zranitelnost na webu nemusí automaticky znamenat průnik do celé organizace. Zároveň ale veřejně viditelný zásah vysílá signál, že některá část digitálního prostředí nebyla dostatečně zabezpečená nebo aktualizovaná. U státní instituce je tento signál citlivější, protože se netýká pouze samotného provozovatele, ale také důvěry lidí a dalších organizací, které jeho informace využívají.

Pro firmy platí stejná logika. Firemní web může být oddělený od interních aplikací a databází, přesto je součástí značky a vztahu se zákazníky. Jeho napadení proto nelze automaticky označit za „malý incident“ jen proto, že nebyla zasažena výroba, účetnictví nebo zákaznický systém. Veřejná nedostupnost a změna obsahu mohou být samy o sobě obchodním a komunikačním problémem.

3. Veřejný web při bezpečnostním incidentu

Veřejný web je součástí bezpečnostního perimetru, i když není přímo napojený na kritické interní systémy. Zranitelnost na něm může vést k výpadku, pozměnění obsahu nebo k situaci, kdy organizace musí komunikaci dočasně přesunout jinam.

Z dostupných informací o útoku na SZÚ zatím není možné určit, zda šlo pouze o zásah do webu, nebo zda měl incident širší rozměr. První viditelný projev proto nemusí odpovídat celému rozsahu problému. Napadená stránka může být důvodem k prověření souvisejících účtů, přístupů a systémů. Konkrétní technické kroky ani výsledky šetření ale v tomto případě zveřejněny nebyly.

Pokud web nefunguje nebo na něm byl zveřejněn cizí obsah, náhradní komunikační kanál umožňuje organizaci uvést, co je potvrzené a co se teprve prověřuje. U SZÚ je v tuto chvíli podstatné zejména to, že napaden byl oficiální web, zatímco narušení zdravotního systému z dostupných informací nevyplývá.

Dostupné informace potvrzují napadení webu, nikoli kompromitaci celé organizace. I omezený zásah ale instituci připravil o kontrolu nad oficiálním komunikačním kanálem a vystavil návštěvníky cizímu sdělení. Reputační dopad tak vznikl bez ohledu na to, zda byly zasaženy další systémy.